En resumen: la ciberseguridad en las pymes rara vez fracasa con PHP2Shell por el parcheo, sino por la falta de visión de conjunto. Además del sitio web, hay portales de distribuidores, configuradores, páginas de empleo y wikis internas que funcionan en distintos proveedores. Solo una lista completa hace que el riesgo sea manejable y demostrable ante clientes y autoridades.
Sistemas PHP típicos en empresas medianas
Con los años, en las empresas industriales se acumulan muchas aplicaciones web: tiendas B2B de repuestos, portales de distribuidores y socios con listas de precios, configuradores de productos, áreas de descarga de documentación técnica y datos CAD, portales de reclamaciones y de servicio, páginas de empleo con gestión de candidatos. Internamente se añaden wikis como MediaWiki, herramientas de tickets y analítica web.
Una gran parte funciona con PHP. Los sistemas los encargaron a menudo los departamentos, los construyeron agencias y se operan en proveedores de hosting que el departamento central de TI no conoce. Ahí está el verdadero problema ante una vulnerabilidad como PHP2Shell.
Qué datos y conexiones pueden verse afectados
En los portales hay condiciones de clientes, interlocutores en los distribuidores, datos de ofertas y pedidos y planos sujetos a acuerdos de confidencialidad. Los portales de candidatos contienen currículums y certificados. Para competidores y extorsionadores, los datos de construcción y las estructuras de precios suelen valer más que los datos personales.
Lo crítico son las conexiones: muchos portales intercambian datos con el ERP, la gestión de mercancías o el PIM. Quien ejecuta código en uno de esos servidores web encuentra allí credenciales de interfaces, bases de datos o VPN. Un portal comprometido puede convertirse así en la puerta de entrada a la red de la empresa.
Pymes y ciberseguridad: cadena de suministro y NIS2
Con NIS2, muchas empresas tienen obligaciones ampliadas de gestión de riesgos y de notificación de incidentes de seguridad significativos. Que su empresa esté afectada directamente depende del sector y del tamaño. De forma indirecta están afectadas muchas más, porque los clientes trasladan a sus proveedores los requisitos de seguridad mediante contratos.
Para la dirección se suma la cuestión de la responsabilidad propia. Lo que se aplica en general se explica en la página sobre la responsabilidad de la dirección. La valoración en cada caso concreto corresponde a su asesoramiento jurídico.
Palo Alto Networks (Unit 42) contó más de 22,6 millones de instancias expuestas y potencialmente vulnerables. Un sistema de pruebas olvidado de una agencia es tan visible para los escaneos automatizados como su sitio web principal.
El hueco de responsabilidades típico en las pymes
| Ámbito | Quién suele decidir | Qué falta |
|---|---|---|
| Sitio web de la empresa | Marketing con agencia | Justificante del parcheo de PHP |
| Portal de distribuidores, tienda B2B | Ventas con prestador de servicios | Integración en el concepto de seguridad informática |
| Página de empleo | Personal con proveedor | Claridad sobre el hosting y los datos |
| Herramientas internas | Departamentos individuales | Inventario y responsables |
El departamento central de TI es responsable de la red, los puestos de trabajo y el ERP, pero a menudo no tiene acceso a los sistemas alojados externamente. Este patrón se convierte en un cuello de botella con cada vulnerabilidad crítica. La solución es una regla sencilla: toda aplicación web que trate datos de la empresa se comunica a TI, con operador e interlocutor, antes de salir a producción.
Separar con limpieza el servidor web y la red de producción
En la industria se añaden aplicaciones web que se comunican con máquinas e instalaciones: portales de servicio y de mantenimiento remoto, paneles con datos de máquinas, portales para clientes que consultan el estado de las instalaciones que se les han suministrado. Algunos de ellos están construidos sobre PHP y se encuentran en una zona de red que tiene más conexiones de las que serían necesarias para su función.
Un servidor web comprometido no debe ser un trampolín hacia la producción. Compruebe qué conexiones existen desde las zonas de red de los servidores web hacia las redes de oficina y de producción, y limítelas a lo necesario. Las credenciales almacenadas en servidores web solo deberían tener los permisos que la aplicación realmente necesita. En los accesos de mantenimiento remoto esto es especialmente importante.
Primeras horas para la dirección de TI y la gerencia
- Crear un inventario de todos los sistemas PHP accesibles desde el exterior: dominio, operador, versión de PHP, modo de ejecución, interlocutor.
- Tratar primero los sistemas con mod_php y los que usan PHP 8.1 o anterior. En mod_php, el equipo de PHP considera que el riesgo es el más alto.
- Para cada sistema, hacer confirmar por escrito el parche a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o el backport, y el reinicio. Lo que no pueda confirmarse, desconectarlo temporalmente de la red.
- Conservar los registros desde el 20/10/2026 y revisar las conexiones de los servidores web con la red interna.
- Documentar brevemente la situación, para poder responder de forma demostrable a clientes, aseguradoras y, en su caso, autoridades.
¿Cómo ayuda PHP SOS en concreto?
- Elaboramos, junto con TI y los departamentos, el inventario de los sistemas PHP y priorizamos según el riesgo.
- Coordinamos parches y reinicios con agencias y proveedores de hosting y reunimos los justificantes en un único lugar.
- Ante una sospecha, asumimos la respuesta a incidentes estructurada, con conservación de rastros y revisión de las conexiones con la red de la empresa.
- Después ofrecemos una auditoría de seguridad o prueba de penetración a cargo de socios especializados, cuyo resultado podrá presentar a los clientes.
- Si lo desea, vigilamos los sistemas de forma continua, para que el inventario se mantenga actualizado.
Preguntas frecuentes
¿Entra nuestra empresa en el ámbito de NIS2?
Depende del sector, del tamaño de la empresa y de la facturación, y debe comprobarse en cada caso. Incluso quien no entra directamente en NIS2 suele notar sus requisitos a través de los clientes de la cadena de suministro. La clasificación vinculante debe aclararla con su asesoramiento jurídico.
¿Puede un servidor web hackeado conducir a la red de la empresa?
Es posible si el servidor web tiene conexiones con la red interna, por ejemplo interfaces con el ERP, credenciales compartidas o un túnel VPN. Si es su caso, lo muestra una revisión de las conexiones de red y de las credenciales almacenadas.
¿Cómo encontramos todas las aplicaciones PHP de la empresa?
El punto de partida son los registros DNS, los certificados, las facturas de hosting y los contratos con agencias. Como complemento ayudan las consultas en marketing, ventas, servicio y personal. Normalmente aparecen así sistemas que el departamento de TI ni siquiera conocía.
¿Qué esperan de nosotros los clientes como proveedores tras PHP2Shell?
Algunos clientes preguntan activamente si sus proveedores se vieron afectados y cómo reaccionaron. Ayuda una exposición breve y demostrable: qué sistemas, qué estado de parcheo, cuándo se reinició, qué revisiones de compromiso. Prometer más de lo que se puede demostrar perjudica.